网 站 验 收 单Word格式.docx

网 站 验 收 单Word格式.docx

《网 站 验 收 单Word格式.docx》由会员分享，可在线阅读，更多相关《网 站 验 收 单Word格式.docx（15页珍藏版）》请在冰豆网上搜索。

□能□不能

留言反馈系统能否正常使用：

新闻发布系统能否正常使用：

产品展示系统能否正常使用：

软件下载系统能否正常使用：

在线联系系统能否正常使用：

在线招聘系统能否正常使用：

图片管理系统能否正常使用：

网上调查系统能否正常使用：

邮件列表系统能否正常使用：

网站访问统计系统能否正常使用：

会员注册管理系统能否正常使用：

视频/动画展示系统能否正常使用：

□能□不能

其他能否正常使用：

5、安全检测验收

ASP、PHP、JSP编程。

MSSQL数据库

项目名称

分项内容

建议处理方法

运行环境

操作系统

常用的服务器操作系统有Windows系列和Unix/linux系列两类，安装后应修改其默认设置以消除可能存在的安全隐患。

①针对Windows系列操作系统：

建议使用WindowsServer2003SP2以上版本；

安装所有已发布的漏洞补丁；

并开启操作系统自动更新及防火墙功能；

禁用Telnet、TCP/IPNetBIOSHelper、PrintSpooler、ComputerBrowser、RemoteRegistry等不需要的服务；

禁用Guest帐号；

关闭文件共享功能。

数据库

常用的数据库有ACCESS、SQLServer、MYSQL三种，应根据网站规模进行选择。

②SQLServer数据库：

建议中大型网站使用。

应选用SQLServer2000SP4以上版本并安装最新补丁程序；

为默认sa帐号设置强密码；

将默认的数据库日志文件路径指向非操作系统分区；

禁用远程控制台连接；

根据需要设置不同的用户权限，防止非授权用户修改数据库。

Web服务软件

常用的Web服务软件有IIS、Apache、Apache+Tomcat三种，应根据网站采用的技术架构进行选择。

①IIS：

建议用静态HTML、ASP和ASP.NET技术开发的网站使用。

应选择IIS6.0以上版本；

禁用IIS自带默认网站；

禁用“所有未知CGI扩展”、“未知ISAPI扩展”等不需要的Web服务扩展功能；

禁止用户通过浏览器浏览网站目录；

禁止Web服务通过浏览器向客户端发送错误提示信息。

功能设计

栏目设计

根据用户需求合理划分网站栏目，主要栏目应在主页显示，严禁出现没有内容的栏目或测试中的栏目。

站际共享

通过链接和使用RSS技术，实现站际信息的同步更新与共享。

但RSS的服务端网站应能够对请求来源进行IP验证或者身份验证，防止非授权用户通过RSS访问不宜公开的信息。

后台管理

应提供栏目设置、信息发布、信息审核、帐号管理、备份与恢复、统计与日志分析、客户端IP限制等功能；

对于多处出现的相同信息，做到一处存放，多处使用，避免信息冗余；

后台链接地址要隐蔽，避免非授权用户随意访问。

备份恢复

网站应具备数据备份与恢复功能，能够实现网站数据的自动定时备份和手动备份；

管理员应定期将备份数据下载保存，以备在网站出现异常情况时进行快速恢复和重建。

内容加密与保护

网站管理员密码等敏感信息应加密后存储；

网站发布的重要文档应转换为PDF格式，并使用AdobeAcrobat等工具为PDF文件加密或添加数字签名，防止文档被随意复制和传播。

邮件服务器

网站开发

开发模式

常用的开发模式有自主开发、合作开发、委托开发三种，应根据实际需要与自身技术实力进行选择：

①自主开发：

开发人员必须具备网站开发经验，熟悉网站开发流程和安全防范技术。

网站所属部门应确保开发人员能够对网站进行后续的升级和安全漏洞修补，确认网站没有后门，没有已知的安全漏洞。

②合作开发：

网站建设单位与公司合作开发应签订合作开发协议，技术服务协议和保密协议，明确分工，保证网站的质量和安全。

网站开发完毕后应明确源代码、开发文档及版权的归属以及网站的升级和安全防护等后续服务条款。

③委托开发：

网站建设单位委托公司开发应签订委托开发协议、技术服务协议和保密协议，保证网站的质量和安全。

公司应向网站建设单位提供网站设计方案、开发文档、带注释的源代码，组织技术培训，并提供版权的归属声明以及网站的升级和安全防护等后续服务条款。

合作开发与委托开发应与实力强和信誉好的软件公司合作，优先考虑有安全资质或网站建设成功案例的公司。

开发技术

常见的网页分为静态网页和动态网页两大类，这两类网页的实现技术不同，网站建设单位应根据实际需要与开发技术实力进行选择：

①静态网页开发技术：

主要指HTML技术，建议功能简单、更新频率低的网站使用。

HTML对开发者技术要求较低，但能够实现的功能有限，无法实现信息的动态更新，后期维护比较困难。

②动态网页开发技术：

包括ASP、ASP.NET、PHP、JSP等，建议功能复杂，需要经常进行信息更新的网站使用。

此类技术功能强大，但对开发者的要求较高，如果程序设计有缺陷，容易出现安全漏洞，需要开发者有较强的安全防范意识和技能。

网站平台

网站平台是一套用来开发和管理网站的系统，网站建设可以使用开源网站平台，也可以购买商业网站管理平台，网站建设单位应根据本单位情况选择：

①开源网站管理平台：

指源代码完全公开的网站管理平台，网站建设单位可以免费获取，但要想获得服务，必须支付费用。

应使用最新版本，并通过互联网查询该版本是否存在已经公开的漏洞，在对该平台进行二次开发及后续维护中，应时刻注意新安全漏洞的出现并及时进行修补。

②商业网站管理平台：

指源代码及版权归开发公司所有的网站管理平台，网站建设单位付费购买后，可以得到公司提供的后续技术服务。

应注意与公司签订技术服务协议与保密协议，要求公司必须及时修补新出现的安全漏洞。

开发工具

建议使用最新版本的Dreamweaver、FrontPage、VisualStudio等网站开发工具，按照W3C的标准制作网页。

开发漏洞封堵

网站开发中，常见的主要漏洞有绕过验证、跨站脚本、SQL注入、URL重定向，需要进行封堵，才能确保网站安全。

①绕过验证：

指非授权用户可以跳过认证页面进入管理后台。

开发过程中应针对能够进行文件添加、删除、修改的页面进行严格的用户身份认证及参数过滤。

②跨站脚本：

指远程攻击者可以通过向服务器提交恶意请求执行跨站脚本攻击，导致在用户浏览器会话中执行任意代码。

开发过程中应防范用户提交JavaScirpt语言插入代码，禁止提交非正常的字符，并对用户提交的信息进行严格过滤。

③SQL注入：

指远程攻击者可以通过提交恶意的SQL语句读取、修改和删除数据库内容。

开发过程中应禁止用户提交含有数据库查询、修改和插入的数据库SQL语句字符；

对提交的URL格式、长度、范围、内容、类型等进行控制过滤。

④URL重定向：

指远程攻击者可以通过构建特殊URL，将用户重定向到任意URL，诱使用户泄露密码或下载恶意文件。

开发过程中应禁止使用URL重定向功能，防止用户被重定向到任意URL。

异常处理

开发过程中应充分考虑可能出错的程序，使用正则表达式验证用户提交的用户名、密码、日期，敏感词等信息是否符合安全要求，完善异常处理程序，防止黑客利用错误提示收集信息，进而发动攻击。

网站防护

访问控制

①应设置匿名访问、标志访问和认证访问（分别对应公开、对内和认证授权）三种控制方式，匿名访问面向所有用户，不做任何限制，任何人都可访问；

标识访问面向内部用户或限定用户群，一般使用IP地址组（允许访问的用户IP地址列表）来限制；

认证访问需要用户进行帐号和密码的认证才能访问。

②网站管理人员只能使用限定IP地址并通过登录认证后才能进行后台管理或内容维护。

用户管理

①应根据需要设置用户类型，并为不同用户类型分配不同权限；

当用户较多、较复杂时，应当分类设立普通用户组和管理员组。

②所有用户都必须设置强密码，严禁用户名和密码一样，密码必须使用8位以上数字和字母混合密码。

③存储在数据库中的密码必须加密存放，防止别人得到后直接使用。

防篡改措施

①对关键网站增加防篡改报警系统。

②网站应具有备份和恢复功能，确保网站被篡改或出现异常情况时能够比对，并及时修复。

安装部署安全

功能与性能测试

网站在正式发布运行前应在内部试运行，进行功能与性能测试：

①功能测试：

依据网站需求和功能设计，进行链接测试、表单测试、Cookies测试、设计语言测试、数据库测试。

②性能测试：

测试网站最大并行用户数，连接建立时间和响应时间，常用页面最大并发数等。

信息安全检查

网站发布的信息要符合保密规定，涉密信息严禁上互联网，机密和绝密信息严禁上军训网。

秘密信息和敏感信息要控制知密范围并采取认证和加密措施，防止秘密泄露。

技术安全检测

授权第三方进行技术安全检测，检测内容包括输入验证、身份验证、敏感数据传输、会话管理、加密、异常处理、日志记录、脚本木马防范设置、第三方组件等，所有测试项必须符合安全要求后网站才能正式部署运行。

选择运行方式

学校现有网站运行方式分为托管、使用虚拟空间、使用网站管理平台三种方式，网站建设单位可根据自身需要进行选择。

①托管：

建议拥有独立物理服务器的网站建设单位选用此方式。

网站建设单位托管的服务器应符合机架式服务器标准，网络中心只提供网络连接、电源、机柜等机房环境，建设单位负责服务器硬件、操作系统、网站、数据库的管理、维护和安全。

②申请虚拟空间：

建议没有独立物理服务器，但网站是独立开发，需要独立运行环境的建设单位选用此方式。

这种情况网络中心负责提供机房环境、服务器硬件和操作系统，网站建设单位应全面负责网站内容、程序和数据库的管理、维护和安全。

③申请网站管理平台空间：

建议没有独立服务器，计划将网站建在学校网站管理平台上统一管理的建设单位选用此方式。

这种情况网络中心负责提供机房环境、服务器硬件、操作系统和网站管理平台，网站建设单位只需负责网站内容的管理、维护和安全。

网站发布审批

网站运行环境、功能、性能经检查、测试达标，信息内容符合保密规定后，即可填写《第四军医大学校园网网站建设申请表》，申请网站发布。

Web服务软件配置

将WEB服务启动用户的权限设置最小化；

禁止网站目录浏览功能；

禁用远程脚本调试；

禁止向客户端发送错误提示信息。

网站目录权限设置

严格设置网站目录权限，能够有效防止攻击者获得过高的权限实施攻击与破坏。

①ASP、ASP.NET、PHP、JSP程序所在目录的权限设置：

只设置读取和执行权限。

②上传目录的权限设置：

只设置读取、写入、修改和删除权限，必须禁止执行权限。

③其它目录的权限设置：

纯图片目录、纯html模版目录、纯客户端程序js文件目录或者样式表目录只设置读取权限，必须禁止执行权限。

数据库配置

通过为每个网站分配对应数据库的db_ower角色和权限，防止网站用户对本网站以外其他数据库的跨库访问

维护管理

日志管理

①启用操作系统日志、WEB服务软件日志和网站管理后台日志三级日志。

②日志应从网站开发和测试时开始记录，应保存至少最近六十天的日志。